Angrebet på pakkevedligeholdere i NPM-arkivet har nået et nyt niveau. Udover at bruge malware til at opsnappe betalinger og fortrolige oplysninger, er angriberne gået over til at injicere en orm i kompromitterede pakker for at automatisere malware-substitution i afhængigheder. Ormens brug blev opdaget efter kompromitteringen af @ctrl/tinycolor NPM-pakken, som har 2.2 millioner ugentlige downloads og bruges som en direkte afhængighed i 964 pakker. Som følge af ormens aktivitet påvirkede angrebet 187 pakker, hvortil der blev oprettet skadelige udgivelser (477 skadelige udgivelser).
I det nye angreb udgiver angriberne, efter at have indhentet vedligeholderens kontooplysninger via phishing, en pakkeudgivelse, der indeholder en orm, som aktiveres, når den kompromitterede pakke installeres som en afhængighed. Når den er aktiveret, søger ormen i det aktuelle miljø efter legitimationsoplysninger, downloader og kører TruffleHog-værktøjet. Hvis et NPM-katalogadgangstoken registreres, udgiver ormen automatisk en ny skadelig udgivelse og inficerer afhængighedstræet. Ud over NPM-adgangstokenet gemmer ormen adgangsnøgler til GitHub og AWS, Azure og GCP (Google Cloud Platform) cloudtjenester, samt andre følsomme data, der kan registreres af TruffleHog-scanneren.
Вредоносные релизы формируются для 20 наиболее популярных пакетов, к которым имеет доступ найденный NPM-токен. Функциональность публикации релиза реализована в форме функции NpmModule.updatePackage, которая загружает исходный архив пакета, изменяет номер версии и добавляет postinstall-хук в файл package.json, подставляет обработчик bundle.js, переупаковывает пакет и публикует его. Поддерживается работа в Linux и macOS.
Ormen har kodenavnet Shai-Hulud (en kæmpeorm nævnt i romanen Dune). Legitimationsoplysninger, der findes på systemet, sendes til GitHub ved at oprette arkiver med navnet Shai-Hulud (f.eks. "B611/Shai-Hulud") og krypteres også i GitHub Actions-logfiler. Det oprettede arkiv indeholder en data.json-fil, som indeholder en base64-kodet streng, der indeholder information om systemet, miljøvariabler og opsnappede adgangsnøgler. I GitHub-baseret CI opretter ormen en GitHub Actions-handler (.github/workflows/shai-hulud-workflow.yml) for at overføre information til en ekstern vært. Det ser ud til, at angrebet ikke er begrænset til de 187 nævnte pakker, da nye arkiver med navnet Shai-Hulud og data.json-filen fortsat dukker op på GitHub.
Blandt andet, som følge af ormens aktivitet, 25 pakker fra virksomheden CrowdStrike, der udvikler værktøjer til beskyttelse mod angreb via afhængigheder (Supply Chain). Ifølge CrowdStrike blev de kompromitterede pakker ikke brugt i Falcon-platformen, og angrebet spredte sig ikke til klienter. Det blev også afsløret, at den tidligere bølge af ondsindede udgivelser til NPM, som fandt sted uden en orm, påvirkede gemini-cli-projektet, udviklet af Google.
Kilde: opennet.ru
